PT-2024-1409
CVE-2023-5372
·
Publicado
2024-01-29
·
Atualizado
2024-02-05
Descrição por
CVSS 2.0
8.3
AltaMétricasAV:N/AC:L/Au:M/C:C/I:C/A:C
Nome do software vulnerável e versões afetadas
Zyxel NAS326 até a versão V5.21(AAZF.15)C0
Zyxel NAS542 até a versão V5.21(ABAG.12)C0
Descrição
O problema está relacionado a uma vulnerabilidade de injeção de comando pós-autenticação. Ela poderia permitir que um invasor autenticado com privilégios de administrador executasse alguns comandos do sistema operacional (SO) enviando um parâmetro de consulta malicioso anexado à URL da interface de gerenciamento web de um dispositivo afetado. Isso se deve à falta de medidas para neutralizar elementos especiais usados no comando do sistema operacional.
Recomendações
Para as versões do Zyxel NAS326 até a V5.21(AAZF.15)C0, considere desativar o acesso à interface de gerenciamento web até que uma correção esteja disponível.
Para as versões do Zyxel NAS542 até a V5.21(ABAG.12)C0, restrinja o acesso à interface de gerenciamento web para minimizar o risco de exploração.
Como solução temporária, evite usar o parâmetro de consulta vulnerável na URL afetada até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾